Bring Your Own Device (BYOD): Eine Gefahrenquelle?

Was ist BYOD?

BYOD ist die Abkürzung für „Bring Your Own Device“ und beschreibt ein Arbeitsmodell, bei dem Angestellte ihre eigenen mobilen Endgeräte, wie Laptops, Tablets oder Smartphones, ins Unternehmen mitbringen und sie auch für die Arbeit nutzen.

Das Konzept entstand um das Jahr 2010 als Smartphones immer populärer wurden und immer mehr Arbeitnehmende den Wunsch hatten, ihre privaten Geräte im Arbeitszusammenhang zu nutzen.  

Welche Vorteile bietet das BYOD-Modell?

• Flexibilität: Beschäftigte können von überall zu jeder Zeit arbeiten und können dafür Geräte nutzen, mit denen sie bestens vertraut sind.
• Produktivität: Ein zeitintensives Onboarding für das Betriebssystem und bestimmte Funktionen entfallen und die Mitarbeitenden können sofort mit ihrem Gerät produktiv werden.  
• Aktualität: Darüber hinaus sind viele private Geräte auf dem aktuellen technischen Stand und können unter Umständen das technische Level einer Firma heben.
• Image: BYOD spricht vor allem Start-Ups und eine junge Zielgruppe unter den Mitarbeitenden an und kann ein wichtiger Faktor für ein modernes Firmenimage sein.

Welche Nachteile und Gefahren gibt es im Zusammenhang mit BYOD?

Als BYOD in Mode kam, sahen Unternehmen die Chance, Anschaffungskosten für Geräte zu sparen. Allerdings ist oft das Gegenteil der Fall, da im Zusammenhang mit BYOD verschiedene „versteckte“ Kosten entstehen:

• Hoher Verwaltungsaufwand: Jedes private Endgerät bedeutet zusätzliche Arbeitsstunden für die IT-Abteilung. Heterogene Hard- und Software erhöht die Komplexität der Verwaltung erheblich.
• Nachweispflicht nach DSGVO: Nach Art. 24 Abs. 1 DSGVO müssen Arbeitgeber den rechtskonformen Umgang mit personenbezogenen Daten auf jedem einzelnen privaten Gerät nachweisen.
• Schulungsaufwand: Mitarbeitende müssen regelmäßig geschult werden, um den sicheren Umgang mit Unternehmensdaten auf privaten Geräten zu gewährleisten. Ein oft unterschätzter Kostenfaktor.
• Investition in MDM: Ein Mobile Device Management-System (MDM-System) ist für BYOD unverzichtbar. Allerdings hat eine MDM-Lösung ihren Preis. Die vermeintliche Hardwareeinsparung wird dadurch oft wieder aufgehoben.
• Diebstahl, Verlust und Haftung: Private Geräte werden überall hin mitgenommen und sind damit einem höheren Verlust- und Diebstahlrisiko ausgesetzt. Handeln Angestellte nicht grob fahrlässig, haften Arbeitgeber für das abhanden gekommene Gerät.
• Weitere Rechtsvorschriften: Je nach Branche greifen zusätzliche Vorschriften aus dem Handels-, Steuer-, Urheber- oder Bankaufsichtsrecht, die Unternehmen bei BYOD zusätzlich mitdenken müssen.
• Software-Lizenzen: Unternehmenslizenzen gelten nicht für Privatpersonen. Liegt die Software auf dem privaten Gerät, haben Mitarbeitende auch in der Freizeit Zugriff. Das kann ein lizenzrechtliches Problem darstellen.

Datenschutzschulungen effizient erledigt

Ob zu BYOD, Pflichten oder Meldefristen – mit der Online-Datenschutzschulung von Proliance erfüllen Sie gesetzliche Schulungspflichten effizient, rechtssicher und nachweisbar.

Zu den Datenschutzschulungen

BYOD & aktuelle Bedrohungslage

Neben internen Risiken, die mit BYOD verbunden sind, gibt es auch externe Risiken. Die Bedrohungslage hat sich seit den Anfängen von BYOD erheblich verändert. Laut der TÜV Cybersecurity Studie 2025 sehen 9 % der Unternehmen nicht registrierte IT-Geräte – darunter private Smartphones und Notebooks – als Einfallstor für Cyberangriffe.  

12 % der Unternehmen berichten von konkreten Problemen durch nicht registrierte IT-Geräte. Eine Gefahr sind beispielsweise KI-gestützte Phishing-Angriffe, die auf Schatten-IT und private Endgeräte abzielen, da diese oft weniger gut geschützt sind als Firmendevices.

Das zeigt: Wo BYOD ohne klare Regelung gelebt wird, entsteht Schatten-IT mit realen Sicherheitsrisiken.  

Ist BYOD mit dem Datenschutz vereinbar?

Ja, BYOD ist mit dem Datenschutz vereinbar – allerdings nur, wenn Unternehmen ihre Pflichten aus der DSGVO umsetzen. Datenschutz und Datensicherheit sind die größten Herausforderungen bei der Umsetzung von BYOD.

Arbeitgeber sind rechtlich immer für die Einhaltung von Datenschutzgesetzen verantwortlich – sogar dann, wenn Mitarbeitende ohne ausdrückliche Genehmigung private Endgeräte für geschäftliche Zwecke nutzen. Hier ist es also wichtig, klar zu kommunizieren, was erlaubt ist und was nicht.

So setzen Unternehmen BYOD DSGVO-konform um

Die folgenden fünf Maßnahmen sind die Grundlage jeder rechtssicheren BYOD-Umsetzung – von der technischen Absicherung bis zum nachweisbaren Compliance-Prozess:

Schritt 1: Nutzungsvereinbarung schließen

Regeln Sie schriftlich, welche Geräte zugelassen sind, welche Daten gelöscht werden müssen und welche Kontrollrechte der Arbeitgeber hat. Ebenfalls sinnvoll ist es, sich vertraglich das Recht zu sichern, mit den unternehmensbezogenen Daten auf einem privaten Endgerät genauso verfahren zu dürfen, wie mit solchen, die auf Firmenhardware gespeichert sind; d.h. uneingeschränkter Zugriff und im Bedarfsfall (z. B. Diebstahl oder Kündigung) Löschung per Remote-Zugang.

Eine BYOD-Nutzungsvereinbarung sollte mindestens folgende Punkte regeln:

• Welche Geräte und Betriebssysteme zugelassen sind
• Wann und welche Daten zu löschen sind (z. B. bei Kündigung oder Geräteverlust)
• Kontrollrechte des Arbeitgebers für das private Gerät
• Recht zur Remote-Löschung unternehmensrelevanter Daten
• Pflicht zur Nutzung von MDM und Verschlüsselung
• Verbot der Nutzung unsicherer WLAN-Netzwerke für Unternehmensdaten

Schritt 2: Mobile Device Management (MDM) einführen

Ein MDM ermöglicht die zentrale Verwaltung aller Endgeräte, die Durchsetzung von Sicherheitsrichtlinien und im Notfall die Remote-Löschung von Unternehmensdaten.

Schritt 3: Verschlüsselung und Container einrichten

Unerlässlich ist eine ausreichende Verschlüsselung der geschäftlichen Daten – entweder durch Vollverschlüsselung des Geräts oder durch separate, verschlüsselte Container, die privaten und beruflichen Bereich trennen.  

Container haben einen weiteren Vorteil: Den Schutz vor Datenklau bestimmter Apps. Nutzen Angestellte beispielsweise das gleiche Smartphone für Berufliches und Privates, können bestimmte Apps für den geschäftlichen Container gesperrt werden. Die Mitarbeitenden können die betreffende App dann trotzdem nutzen, wenn sie zum privaten Container wechseln, aber die Unternehmensdaten sind vor der Sammelwut bestimmter Apps sicher.

Schritt 4: Mitarbeitende schulen

Sensibilisieren Sie Ihre Belegschaft für Risiken wie Phishing, unsichere WLAN-Netzwerke und den sicheren Umgang mit Unternehmensdaten auf privaten Geräten mit passenden Schulungsangeboten.

Schritt 5: Dokumentation & Nachweis sicherstellen

Alle Maßnahmen müssen nachweisbar sein: Dazu gehören neben Nutzungsvereinbarungen, unterzeichnete Richtlinien und Schulungsnachweisen auch Reparaturprozesse. Sie stellen ein Datenschutzrisiko dar, dass auch die beste Verschlüsselung nicht lösen kann. Geräte, auf denen sensible Daten gespeichert sind, sollten deshalb von einer zertifizierten Werkstatt repariert werden und Arbeitgeber müssen das bei Firmengeräten nachweisen können.  

Wer die Nachweispflicht nach Art. 24 DSGVO ohne manuelle Nachverfolgung per E-Mail oder Excel erfüllen möchte, kann auf eine Lösung wie das Policy Center in Proliance 360 setzen. Damit lassen sich BYOD-Regelungen direkt versenden, mit Zeitstempel und digitalem Fingerabdruck bestätigen und optional mit einer Verständnisprüfung verknüpfen.

BYOD, Richtlinien und Datenschutz in einer Plattform

Datenschutz einhalten mit System: Verabschieden Sie sich von Papierkram und Tabellen und setzen Sie Ihren Datenprozesse mit der Compliance-Plattform Proliance 360 digital, dokumentiert und DSGVO-konform auf.

Zur Compliance-Management-Software

Ist CYOD eine sichere Alternative zu BYOD?

Im Hinblick auf BYOD und Datenschutz fällt das Fazit lediglich verhalten positiv aus. Eine mögliche Alternative, die DSGVO-konform ist und trotzdem den Bedürfnissen von moderner Mitarbeitender gerecht wird, ist „Choose Your Own Device“, kurz CYOD.  

Bei diesem Arbeitsmodell wählen Angestellte aus mobilen Geräten, die der Arbeitgeber ihnen zur Verfügung stellt. Das schafft eine bessere Übersicht über die im Unternehmen genutzten Geräte und verringert den Verwaltungsaufwand, Sicherheitsmaßnahmen können von Anfang an über ein MDM implementiert werden. So ist sichergestellt, dass es nicht zu Datenschutzverstößen und im schlimmsten Fall hohen Bußgeldern kommt.